Een bedrijf ontwikkelt een nieuwe applicatie op AWS. De applicatie omvat een Amazon ECS-cluster, een Amazon S3-bucket die applicatie-assets opslaat, en een Amazon RDS for MySQL-database die een gevoelige dataset bevat. Het bedrijf wil ervoor zorgen dat alleen het ECS-cluster toegang heeft tot de RDS-database en de S3-bucket. Welke oplossing voldoet aan deze vereisten?

De correcte optie zorgt voor een robuuste toegangscontrole en versleuteling. Door een AWS KMS customer managed key (CMK) te gebruiken en het sleutelbeleid zo te configureren dat de ECS task execution role encryptie- en decryptiemachtigingen heeft, wordt afgedwongen dat alleen het ECS-cluster (via zijn rol) toegang heeft tot de versleutelde data in S3 en RDS. Dit is een effectieve manier om zowel data-at-rest te beveiligen als toegangscontrole te implementeren. De eerste incorrecte optie gebruikt een AWS managed key, die minder flexibiliteit biedt voor toegangscontrole via sleutelbeleid dan een CMK. Het S3-bucketbeleid regelt geen toegang tot de RDS-database. De tweede incorrecte optie richt zich op netwerktoegang (VPC endpoints, security groups) en S3-bucketbeleid, maar mist een centrale versleutelingsstrategie die beide diensten omvat en direct gekoppeld is aan de identiteit van het ECS-cluster voor toegang. De derde incorrecte optie richt zich uitsluitend op netwerktoegang (VPC endpoints en security groups), wat belangrijk is, maar biedt geen versleuteling van de data-at-rest en mist een mechanisme om de toegang tot de S3-bucket te beperken op basis van de identiteit van het ECS-cluster.